过去几年，科技行业持续推动密钥（Passkey）作为登录方式的终极方案。各大科技公司不断在用户登录时提示密钥的便捷性，用户要么接受并设置密钥，要么深入设置菜单才能关闭相关提示。
Google 甚至将相关设置命名为「尽可能跳过密码」，Microsoft 则建议用户让账户「无密码化」。
从技术层面看，密钥确实有可取之处。由于密钥与创建它的网站绑定，攻击者无法用伪造的登录页面骗取密钥。一旦发生数据泄露，密钥基于非对称加密，服务器端存储的信息无法被用来还原私钥。网络钓鱼攻击也可以通过密钥得到彻底消除。
但密钥的优势更多体现在企业环境中，对个人用户而言则存在明显短板。个人面临的最大风险是账户被永久锁定、账户被自动禁用以及设备丢失。相比之下，传统密码配合标准登录流程，反而能提供更好的安全性。密钥还容易带来虚假的安全感——账户的实际安全性仍取决于最薄弱的恢复方式，例如短信、邮件链接或安全问题。如果这些恢复方式未启用，用户依然面临永久锁定的风险。
硬件密钥
按照设计，硬件密钥上的密钥无法备份：只能添加或删除，无法导出迁移。用户需要购买 2 至 3 个硬件密钥，并为每个网站逐一注册每一个密钥。随着账户数量增加，成本会迅速上升。
硬件密钥支持「可发现的凭证」（Discoverable Credentials），网站可以直接查询用户名，无需用户手动输入。网站开发者越来越青睐这一能力，但每把硬件密钥的账户数量上限为 25 至 100 个，最高端的密钥最多支持 300 个。一旦超出限额，用户只能删除部分账户，或者再购买一套硬件密钥。
同步密钥
无论 Apple 还是 Google，都希望用户的密钥存储在其生态体系内，通过 Apple 账户或 Google 账户在各自设备上同步密钥管理。问题在于，一旦其自动化系统判定并封禁用户账户，密钥也会一并丢失。
尽管 FIDO 联盟一直在推动互操作性改进、简化密钥导出流程，但各厂商之间的实际体验仍然割裂且不一致。这一状况预计在未来几年有所改善，但目前尚未成熟。导出过程需要用户手动操作一长串字符串。
第三方同步密钥
密钥也可以存储在 Bitwarden 或 KeePassXC 等密码管理器中。操作系统方面近期引入了相关 API，例如 Android 的 Credential Manager，供第三方工具接入。但实际体验仍然分散，缺乏密码自动填充功能经过数十年打磨所积累的成熟度。尤其是在浏览器之外、原生应用内部进行自动填充时，表现尤其不稳定。第三方密钥管理未来可能成为主流方向，但目前生态还未达到可用水平。
密钥失效的场景
在自有设备上登录是密钥的理想使用场景。一旦需要借用他人的电脑，体验就大打折扣。可以插入硬件密钥，但并非所有设备都有可用接口；也可以使用同步密钥登录，但这要求信任这台电脑不会泄露其他密钥。第三种选择是「混合传输」（Hybrid Transport）：扫描二维码，同时通过蓝牙连接电脑。该方案在理论上是安全的，但实际操作中充满连接失败、设备不支持蓝牙等边缘情况。
结论：密钥生态尚未成熟
企业用户有充分的理由采用密钥，但整个生态目前还不够成熟。
TOTP 验证码存在已知的网络钓鱼漏洞，而密钥带来的恢复与锁定风险，对多数人而言比 AiTM 代理攻击构成更现实的日常威胁。在第三方密码管理器中保存随机生成的密码，搭配独立的 TOTP 应用，既能让用户掌握控制权，又保留了明文导出的灵活性。对于过去在各网站重复使用密码的用户来说，密钥是巨大的提升；但对已经建立良好密码习惯的用户而言，现阶段更像是一种倒退。
